AliExpress уличили в «подслушивании» пользовательских устройств

При этом маркетплейс не слушал пользователя через микрофон — он с помощью специального скрипта генерировал звуковую волну, выставив уровень громкости на ноль. Человеческое ухо ничего не слышало, но система пользовательского устройства и браузера реагировали на этот звук. Происходящие в работе процессоров, драйверов, операционных систем микроизменения фиксирвались, обрабатывались и отправлялись в AliExpress, который формировал уникальный аудиофингерпринт устройства.

Раскрыть эту аудиослежку помогла случайность. Исследователь Мэттью Каллаган заметил, что его Bluetooth-наушники отключались от смартфона всякий раз, как он открывал вкладку китайского маркетплейса на ПК. Они были настроены так, чтобы принимать сигналы сразу от нескольких устройств, поэтому любые изменения на любом из подключенных гаджетов могли повлиять на работу наушников. Изучив код страницы, он обнаружил замаскированные скрипты, заставлявшие браузер фоново генерировать аудиосигналы.

Такие методы помогают формировать очень точный «паспорт устройства» для таргетированной рекламы, а также защиты от ботов, борьбы с мошенниками и вычисления повторных аккаунтов, создаваемых ради скидочных купонов. Исследователь подчёркивает, что не знает, как именно AliExpress затем использует собранные данные: для постоянного отслеживания людей или только для антифрода.

Сам по себе аудиофингерпринтинг сегодня малоэффективен: Firefox, Chrome и Safari научились сбивать точность расчетов с помощью собственных фиксированных математических библиотек. Однако в связке с остальными метриками даже слабый аудиосигнал помогает точнее идентифицировать пользователя. Кроме этого почти наверняка тысячи сайтов используют аналогичные методы отслеживания, не только китайский маркетплейс.